NIS2 与你的网站：作为供应商，客户会问你什么

邮件来自一位合作多年的客户。附件是一份供应商安全问卷：几十个关于加密、补丁、备份和安全事件的问题，月底前要交。你经营的是一家小公司，不是银行，不是医院，也不是电力公司。那为什么突然关心起你来了？

因为你的客户很可能受 NIS2 约束。这是欧盟的网络安全指令，它让客户要对自己供应链的安全负责。它没有给你直接设定义务。问卷，是客户履行自己的义务、并把它落到纸面上的方式。

本文讲法律是怎么规定的，这些问题中哪些可以由你的公开网站和邮件域名替你回答，以及如何在别人开口之前先把证据备好。这不是法律意见。如果你不确定自己的公司是否属于 NIS2 的适用范围，请先查看本国主管机构的指引。

这些问题从哪里来

欧盟指令 (EU) 2022/2555，也就是 NIS2，在第 21 条中列出了关键实体和重要实体必须采取的网络安全风险管理措施。第 2 款 (d) 项写的是：“供应链安全，包括每个实体与其直接供应商或服务提供商之间关系中与安全相关的方面”。

第 3 款又进了一步。在选择这些措施时，实体必须考虑每个直接供应商和服务提供商特有的薄弱环节，以及其产品和网络安全实践的整体质量。

不去问，你的客户就无法判断你的网络安全实践。所以他们把一部分义务沿供应链往下传，用的是问卷、合同条款和索取证据。如果你提供软件、托管或 IT 支持，或者能访问他们的系统，就要预料到一份很长的清单。如果你卖的东西与此无关，清单可能短一些，但仍然可能送到，因为对采购团队来说，给每个供应商发同一份表格更简单。

你的域名之所以重要，还有一个非常普通的原因。你是客户收到发票的来源之一。如果有人能发出看起来像你的邮件，就能发出换了银行账号的假发票。对你的客户来说，这是供应链风险，即使你从未碰过他们的服务器。

为什么是现在

指令本身并不约束公司。每个欧盟国家按自己的时间表把它写进本国法律。例如波兰，是通过 2026 年 1 月 23 日修订《国家网络安全体系法》的法案做到的（Dz.U. 2026 第 252 项），自 2026 年 4 月 3 日起生效。该法修订后的第 8 条，把 ICT 供应链的安全与连续性列入受约束公司必须落实的措施。

波兰数字事务部给予在该法生效时已符合标准的公司：到 2026 年 10 月 3 日完成登记，到 2027 年 4 月 3 日落实各项义务。其他国家有各自的日期。不论你的客户在哪里，规律都一样：他们的期限一临近，安全和采购团队就会把供应商名单过一遍。

你的网站和邮件能回答的问题

每份问卷都有一部分，涉及任何人在几分钟内就能从外部检查的东西。你的客户或其审计员无需问你就能做到，所以最好你自己先知道答案。

**传输加密。**通常的问法是“数据在传输过程中是否加密？”或“你们支持哪些 TLS 版本？”好的答案是：网站只运行在 HTTPS 上，http:// 会跳转到 https://，证书有效，旧的协议版本 TLS 1.0 和 1.1 已关闭。这一切都可以用免费的 SSL 证书检查工具（英文）查看。

邮件认证。“你们是否使用 SPF、DKIM 和 DMARC？”这个问题经常出现，因为它关系到有人冒充你的公司。好的答案是三者都配置在你的 DNS 里，DMARC 为 p=quarantine 或 p=reject。p=none 的记录只是观察，什么也拦不住。用 SPF、DKIM 和 DMARC 检查工具（英文）检查你的域名。如果这几个缩写对你很陌生，这篇文章有解释。

补丁。“你们如何管理安全更新？”“你们多快应用关键补丁？”你的网站透露的比你想象的多。WordPress 及其插件常常在页面代码里显示版本号，扫描工具可以把它们与已知漏洞比对。如果你的网站运行着有公开漏洞的插件，“我们会及时打补丁”这句话，经不起第一次核查。

**公开放着的文件。**关于数据保护和备份的问题，也有外部视角。有没有 backup.zip、数据库导出文件，或者含有密码的配置文件，放在任何人都能下载的地方？机器人在它到访的每个网站上都会试这些地址。更多内容见服务器上被遗忘的备份文件。

**安全头。**很少被点名，但它们藏在关于加固 Web 应用的问题背后。缺少 HSTS 或内容安全策略头，并不意味着网站完全敞开。但它确实表明有没有人在照看。安全头检查工具（英文）会列出有什么、缺什么。

**漏洞报告。**有些问卷会问，外部的人如何向你报告安全问题。最简单的答案是，在你网站的 /.well-known/security.txt 文件里公布一个安全联系邮箱。

你的网站回答不了的问题

其余的从外部是看不见的。谁拥有你的网站、邮箱和域名的管理员权限，他们是否使用两步验证。你的备份在哪里，有没有人恢复过。出了事件之后你做什么，多快通知客户。你的员工能不能识别钓鱼邮件。

没有哪种扫描工具能帮上这些。简短、真实的回答，加上一份支撑它们的文件，才有用。

不要对所有问题都打“是”。问卷的回答常常会作为陈述写进合同，不真实的回答，比老实地写“进行中，12 月前完成”更糟。你的客户需要的是风险可以管理的供应商。他们并不期待毫无风险的供应商。

准备证据

回复之前，先建一个文件夹，每个文件名里都带上日期。

1. **一份关于你网站和域名的报告。**它显示某一天的证书、邮件记录、安全头和暴露文件的状态。如果有需要修复的东西，修复后再附一份报告。一份修复前后的对照，比单次结果更能说明问题。
2. **你的 SPF、DKIM 和 DMARC 结果。**一张带日期的截图就够了。
3. **一页关于更新的说明。**谁来更新网站和你的其他系统，多久一次，关键补丁多快打上。
4. **一页关于备份的说明。**存在哪里，多久运行一次，最近一次有人用它恢复是什么时候。
5. **一份访问权限清单。**谁持有网站、邮箱、域名注册商和主机的管理员账户，每个账户是否启用了两步验证。
6. **一个事件联系人。**负责人的姓名、邮箱和电话，以及发生影响客户的事件时，你多快通知他们。

第 3 到第 6 点，要与负责你网站和 IT 的人一起写。如果你不知道怎么开启这场对话，本文末尾的五个问题是个好的开头。

每个季度重复一次网站检查，并在任何重大变化之后再做一次。你的客户还会带着新的问卷回来，而两年前的报告什么也证明不了。

本周该做什么

如果问卷已经摆在你桌上：

1. 从外部检查你的网站和域名。几分钟就能完成，结果可能会改变你的一些答案。
2. 先修快的：把 DMARC 从 p=none 改为 quarantine，把备份文件从网站目录里移走，强制使用 HTTPS，关闭旧的 TLS 版本。在 SPF 和 DKIM 已经正常工作的情况下，这通常是几个小时的活，而不是几周。
3. 如实说明其余部分：哪些已经做到，哪些在进行中，什么时候完成。

第一步可以用 ShieldWave 完成。输入你的网址，大约 90 秒内，它会从外部检查证书、安全头、SPF、DKIM 和 DMARC、软件版本和暴露的文件，然后用大白话解释结果，并附上给开发者的现成说明。第一次检测免费，一次性的完整扫描连同放进你文件夹的完整报告，收费 9 美元。